В мире, где предоставление услуг коммерческими организациями и государственными ведомствами реализуется через сеть Интернет, обеспечение доступности, защита от взломов и подмены контента на веб-ресурсе становится важной задачей, за невыполнение которой могут “полететь головы с плеч” специалистов служб информационной безопасности. Несмотря на усилия ИБэшников и разработчиков средств веб-защиты, в гонке «ИТ-вооружения» обороняющаяся сторона традиционно занимает догоняющую позицию, количество атак год от года растет, меняются вектора и подходы к их организации.
4. Проблема #1. Незнание сетевого
периметра
100% опрошенных компаний подтверждают, что осуществляют контроль за
сетевым периметром.
По нашему опыту, полноценное знание периметра — это до сих пор
редкость.
Хакеры не ломают “в лоб”
Атакующие используют приложения как самый простой способ для
«пробоя» периметра и развития атаки внутри сети организации.
9. Угроза #2. Инструменты для обеспечения
безопасности недостаточно эффективны
или дорогие
1/2 респондентов обнаруживали, что эксплуатация решений обходится
слишком дорого
1/3 респондентов ответила, что заявленные характеристики оборудования
продуктов информационной безопасности не соответствуют реальности.
55% сталкивались с ложными срабатываниями подобных решений
10. Неэффективность решений
Атакующие могут генерировать столько событий, сколько заходят
(автоматизированными инструментами) — их невозможно обработать
вручную
14. Угроза 3. Комплексные атаки с
привлечением разных подходов
Отлечение внимание от экплуатации уязвимостей с DDoS-атаки
Отвлечение простыми атаками, эксплуатируя сложные
Злоупотребление защитными механизмами
16. Опасения учреждений
Утечка персональных данных пользователей
Отзыв сертификации PCI DSS
Повышенный риск отзывы лицензий
61% респондентов считают, что в случае инцидента ИБ повышается
риск отзыва лицензии
18. Приходит зрелость в вопросах ИБ
100% понимают важность контроля сетевого периметра
80% респондентов проводят аудиты безопасности
Стандарт ЦБ РФ рекомендует проводить аудит ИБ ежегодно, с целью
проверки выполнения требований регулирования, либо проверки
надежности и защищенности используемых решений
Эксперименты аудитов безопасности в формате RedTeam